CSIRT: significato

In breve

La parola indica due cose diverse. Il CSIRT aziendale è la squadra interna, con il supporto di eventuali fornitori, che risponde quando un'azienda subisce un incidente. Il CSIRT nazionale è l'organismo pubblico che raccoglie le segnalazioni e coordina la risposta a livello di Paese: in Italia è il CSIRT Italia, presso l'Agenzia per la Cybersicurezza Nazionale, a cui arrivano anche le notifiche previste dalla NIS2. CERT è un termine storico usato spesso come sinonimo.

Come funziona

Un CSIRT aziendale non è fatto solo di tecnici. Di solito comprende:

• un responsabile della gestione dell'incidente, che coordina e decide le priorità;
• i referenti tecnici per sistemi, rete, applicazioni, insieme ai fornitori IT;
• chi segue gli aspetti legali e privacy, compreso il DPO se nominato;
• chi cura la comunicazione verso dipendenti, clienti, autorità e stampa;
• un rappresentante della direzione, che autorizza le decisioni con impatto sul business.

Il lavoro segue un ciclo noto: preparazione, rilevazione e analisi, contenimento, eradicazione, ripristino, lezioni apprese. La parte più importante è la prima: ruoli, contatti e procedure si decidono prima, non durante l'emergenza.

Perché è importante

Durante un incidente il tempo è poco e le decisioni sono pesanti: spegnere o no i server, avvisare o no i clienti, notificare o no il Garante entro le 72 ore previste per un data breach. Se nessuno sa chi decide, si perdono ore preziose. Il CSIRT è anche l'interlocutore del SOC: il SOC rileva e segnala, il CSIRT prende in carico e gestisce.

Le norme lo chiedono esplicitamente: NIS2 impone la gestione degli incidenti e la notifica a tempi stretti, ISO/IEC 27001 richiede procedure di risposta documentate.

Esempio

Un lunedì mattina il gestionale non risponde e sui server compaiono file cifrati. Il responsabile dell'incidente convoca il CSIRT già definito: il tecnico isola le macchine, il fornitore IT verifica i backup, il referente privacy valuta se sono coinvolti dati personali, la direzione approva il messaggio ai clienti. Ogni azione viene registrata con il nome di chi la fa. A fine incidente, la stessa traccia serve per la notifica e per capire cosa cambiare.

Termini collegati

• SOC
• Ransomware
• Business continuity
• TLP: come si condividono le informazioni durante un incidente